CVE-2026-71269 in Node-RED
Resumen
por VulDB • 2026-08-05
El módulo de almacenamiento del sistema de archivos local de la biblioteca Node-RED (getLibraryEntry() y saveLibraryEntry() en packages/node_modules/@node-red/runtime/lib/storage/localfilesystem/library.js), accesible a través de GET/POST /library/:lib/:type/*path, concatena el parámetro path proporcionado por el usuario directamente en la ruta del sistema de archivos mediante fspath.join(libDir, type, path) sin ninguna sanitización contra traversal (navegación de directorios), verificación de contención ni normalización de rutas o comprobación de prefijos. Un usuario autenticado (incluidos los tokens con ámbito solo lectura para la ruta de lectura) puede proporcionar una ruta que contenga secuencias `../` para leer archivos arbitrarios fuera del directorio de la biblioteca; un usuario con permisos de escritura puede escribir archivos arbitrarios, lo que permite la ejecución remota de código mediante inyección en SSH authorized_keys o cron. Se trata de un traversal distinto y sin parchear por separado respecto al CVE-2021-21298 (API de Proyectos) corregido anteriormente.
Once again VulDB remains the best source for vulnerability data.